Everest Forms Pro CVE-2026-3300、未認証RCEが活発悪用　管理者diksimarina作成に要警戒

「Everest Formsって、うちのお問い合わせフォームでも使ってるかもでしゅ……乗っ取られるって本当でしゅか？」
「『diksimarina』っていう管理者がいたら、それだけで侵入されてるってことでしゅか？」

チップス

WordPressの管理画面、最近のぞいてないでしゅ……ちょっと不安になってきたでしゅ。

ボス

ふふふ、ちょうどいい機会だ。今回の攻撃は痕跡が分かりやすい。すぐに点検できる。

本記事では、Everest Forms Proの未認証RCE脆弱性CVE-2026-3300の手口と、サイトを守るための初動を解説します。

5分後には自社サイトのプラグイン版数と管理者リストを点検する手順が分かります。

Everest Forms Pro 1.9.12以前が標的に

脆弱性の発見から悪用観測までの流れを整理します。

3月18日修正、4月13日に攻撃開始

研究者h0xiloがWordfence経由でCVE-2026-3300を2026年2月に報告し、3月18日に修正版が公開されました。
その後4月13日から実環境での悪用が観測されており、Wordfenceは29,300件超の攻撃をブロックしています。
攻撃元はおもに2つのIP（202.56.2.126、209.146.60.26）に集中しており、自動化された大規模スキャンが進行している状態です。
未更新サイトは時間との勝負になっています。

主な経過は以下のとおりです。

事案の詳細はBleepingComputerの報道で確認できます。

日本企業サイトにも広く影響する可能性

Everest Formsは無料版・Pro版とも世界中で利用されているお問い合わせフォーム系プラグインです。
日本企業のコーポレートサイトやLPでも採用例があり、Pro版を入れたまま放置しているケースは少なくありません。
侵害された場合、管理者権限の作成→バックドア設置→データベース閲覧まで一気に進むため、ブランド毀損と個人情報漏洩を同時に抱えるリスクがあります。

チップス

お問い合わせフォームなんて地味な部分から乗っ取られるなんて、盲点でしゅ！

ボス

そう、攻撃者は地味な拡張機能をよく狙う。本体だけ守っても意味がない、と覚えておくがいい。

脆弱性の仕組みと点検手順

攻撃の中身と、いま実行すべき点検手順をまとめます。

eval()と不十分なサニタイズの隙間

脆弱性は「Complex Calculation（複合計算）」機能に存在し、フォームから受け取った値をPHP文字列に差し込んだうえでeval()で実行する設計でした。
sanitize_text_field()は使われていましたが、シングルクオートやPHP構文文字をエスケープしていなかったため、攻撃者は引用符を閉じて任意コードを挿入できました。
攻撃者はwp_insert_user()で管理者アカウントを作成し、//で残りのコードを無効化する手口を取っています。

攻撃の特徴と痕跡は以下のとおりです。

今日中にやるべき点検3項目

すぐ着手すべきは、プラグイン更新と管理者一覧の精査です。
とくに「diksimarina」というユーザー名が出てきたら、侵害確定として隔離対応に入ってください。
更新後も、過去に作成された不審アカウントは消えないため、ユーザー棚卸しと監査ログ確認をセットで実施しましょう。

チップス

管理者一覧のチェックなら今すぐ管理画面でできるでしゅ！

ボス

そうだ。怪しいアカウントが見つかったら、まずパスワード変更とログイン無効化を行う。話はそれからだ。

まとめ

CVE-2026-3300は、未認証で管理者権限まで一気に奪われる重大脆弱性です。
修正は3月18日に出ており、4月13日から大規模スキャンが続いていることを踏まえると、未更新サイトはすでに侵害されている可能性すらあります。
Everest Forms Proの更新、「diksimarina」アカウント確認、4月以降のユーザー登録ログの精査、この3点を今日中に終わらせてください。
サイトを乗っ取られた後の復旧コストは、点検時間の100倍では済みません。

ボス

痕跡が分かりやすい今のうちに動け。曖昧なまま放置するのが一番危ない。

チップス

今すぐ管理画面を開いて、ユーザー一覧見てくるでしゅ！